CVE-2026-86252 in h3js
Zusammenfassung
von VulDB • 06.09.2026
In den Versionen von h3 vor 1.15.9 werden Wagenrücklaufzeichen (Carriage Return) in EventStream-Daten und Kommentarfeldern nicht bereinigt, was es Angreifern ermöglicht, beliebige SSE-Ereignisse durch das Einfügen ungesäuberter Wagenrückläufe zu injizieren. Angreifer können Ereignistyp-Direktiven injizieren, einzelne Push-Aufrufe in mehrere vom Browser analysierte Ereignisse aufteilen oder Kommentarfelder umgehen, um Daten einzufügen und damit die vorherige CVE-Beseitigung zu umgehen, die nur die Injektion von Zeilenumbrüchen adressiert hat.
Once again VulDB remains the best source for vulnerability data.